Re: [新聞] 程式語言Rust被挖出CVSS滿分10分的重大漏洞，Windows電腦恐因此面臨命令注入攻擊

看板Gossiping作者freeunixer (離自相空她相)時間3周前 (2024/04/11 04:27)推噓5(5推 0噓 7→)

留言12則, 7人參與討論串2/2 (看更多)

※ 引述《wei115 (社畜)》之銘言： : ithome : 周峻佑 : 程式語言Rust被挖出CVSS滿分10分的重大漏洞，Windows電腦恐因此面臨命令注入攻擊 : 程式語言Rust的開發團隊指出，Windows版標準程式庫存在危急（Critical）等級漏洞 : CVE-2024-24576，有可能會被攻擊者用於執行任意命令 : 針對這項漏洞發生的原因，開發團隊表示，cmd.exe的運作極為複雜，以致於他們實作時 : ，無法找到可涵蓋各種狀態的轉譯參數正確做法。 : https://www.ithome.com.tw/news/162218

推

HowLeeHi

04/10 20:28,

04/10 20:28

→

HowLeeHi

04/10 20:28,

04/10 20:28

推

ronga

04/10 20:59,

04/10 20:59

→

ronga

04/10 21:00,

04/10 21:00

這看起來會讓人理解為用 rust 寫出的 windows 版程式,當它需要傳參給 windows 的 cmd 處理時. 因為沒有 cmd 的 spec,所以沒有辦法正確地做出傳參的對應方式(api模式) 不精確的比喻, rust 可能收到並轉丟了一個 'del c:\*.*' 的字串出去給 cmd, 結果 cmd 收到以後竟然把它當成了指令. 但是 rust 的開發人員又無從得知也無法預先知道丟了什麼給 cmd 會出現想像不到的結果.因為根本查不到 cmd 這鬼東西的運作邏輯. 也無法用對方式告訴 cmd 'del c:\*.*'只是文字,不是 command... -- 讀者審校網試行版(2018/1/1 更新網址) http://readerreviewnet.processoroverload.net/ (哲、史、法、政、經、社，人文翻譯書籍錯譯提報網) ◎洪蘭"毀人不倦"舉報專區 http://tinyurl.com/ybfmzwne 讀者需自救，有錯自己改... -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 60.250.90.238 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1712780844.A.292.html

推

andy199113

04/11 04:32, 3周前 , 1^F

04/11 04:32, 1^F

推

StylishTrade

04/11 04:48, 3周前 , 2^F

04/11 04:48, 2^F

推

dosiris

04/11 04:50, 3周前 , 3^F

04/11 04:50, 3^F